Wie kann ich die Passwörter meiner Benutzer sicher speichern?

Der einfachste Weg, um Ihre password storage scheme secure ist durch mit einem standard-Bibliothek.

Da die Sicherheit tendenziell viel komplizierter und mit mehr unsichtbar Schraube-up-Möglichkeiten als die meisten Programmierer konnten allein bewältigen, verwenden Sie eine standard-Bibliothek ist fast immer am einfachsten und sichersten (wenn nicht die einzige) option.

Der neuen PHP-API-Passwort (5.5.0+)

Wenn Sie mit der PHP-version 5.5.0 oder neuer verwenden, können Sie die neuen, vereinfachten Passwort-hashing-API

Beispiel-code durch die PHP password API:

<?php
//$hash is what you would store in your database
$hash = password_hash($_POST['password'], PASSWORD_DEFAULT, ['cost' => 12]);

//$hash would be the $hash (above) stored in your database for this user
$checked = password_verify($_POST['password'], $hash);
if ($checked) {
    echo 'password correct';
} else {
    echo 'wrong credentials';
}

(In Fall, dass Sie noch mit einem älteren 5.3.7 oder höher, die Sie installieren können ircmaxell/password_compatum Zugriff auf den build-in-Funktionen)

Verbesserung auf gesalzene hashes: Pfeffer

Wenn Sie zusätzliche Sicherheit, die security-Leute nun (2017) empfehlen das hinzufügen eines 'Pfeffer' , die (automatisch) gesalzene Passwort-hashes.

Gibt es einen einfachen, drop-in-Klasse, die sicher implementiert dieses Muster, ich empfehle:
Netsilik/PepperedPasswords
(github).

Es kommt mit einer MIT-Lizenz, so können Sie es verwenden, wie Sie wollen, auch in proprietären Projekten.

Beispiel-code mit Netsilik/PepperedPasswords:

<?php
use Netsilik/Lib/PepperedPasswords;

//Some long, random, binary string, encoded as hexadecimal; stored in your configuration (NOT in your Database, as that would defeat the entire purpose of the pepper).
$config['pepper'] = hex2bin('012345679ABCDEF012345679ABCDEF012345679ABCDEF012345679ABCDEF');

$hasher = new PepperedPasswords($config['pepper']);

//$hash is what you would store in your database
$hash = $hasher->hash($_POST['password']);

//$hash would be the $hash (above) stored in your database for this user
$checked = $hasher->verify($_POST['password'], $hash);
if ($checked) {
    echo 'password correct';
} else {
    echo 'wrong credentials';
}

Die ALTEN standard-Bibliothek

Bitte beachten Sie: sollten Sie nicht brauchen diese nicht mehr! Dies ist hier nur für historische Zwecke.

Werfen Sie einen Blick auf: Portable PHP password hashing framework: phpass und stellen Sie sicher, dass Sie die CRYPT_BLOWFISH Algorithmus, wenn überhaupt möglich.

Beispiel-code mit phpass (v0.2):

<?php
require('PasswordHash.php');

$pwdHasher = new PasswordHash(8, FALSE);

//$hash is what you would store in your database
$hash = $pwdHasher->HashPassword( $password );

//$hash would be the $hash (above) stored in your database for this user
$checked = $pwdHasher->CheckPassword($password, $hash);
if ($checked) {
    echo 'password correct';
} else {
    echo 'wrong credentials';
}

PHPass umgesetzt wurde, in einige Recht bekannte Projekte:

• phpBB3
• WordPress 2.5+ sowie bbPress
• der Drupal 7 release, (Modul verfügbar für Drupal 5 & 6)
• andere

Die gute Sache ist, dass Sie nicht brauchen, um sorgen über die Daten, die programmiert worden sind, die von Menschen mit Erfahrung und überprüft werden, indem viele Leute auf das internet.

Weitere Informationen über Passwort-Speicher-Systeme, Lesen Jeff`s blog-post: Sie sind Wahrscheinlich die Speicherung der Passwörter Falsch

Was auch immer Sie tun, wenn Sie gehen für die "mache ich es selbst, danke " - Ansatz, nicht verwenden MD5 oder SHA1 mehr. Sie sind schön hashing-Algorithmus, aber als gebrochen aus Sicherheitsgründen.

Derzeit mit Kryptamit CRYPT_BLOWFISH ist die beste Praxis.

CRYPT_BLOWFISH in PHP ist eine Implementierung der Bcrypt hash. Bcrypt basiert auf dem Blowfish-Blockchiffre, Gebrauch machen, es ist teuer-key-setup zu langsam der Algorithmus nach unten.

InformationsquelleAutor der Antwort Jacco

Bessere Weg wäre, für jeden Benutzer eine eindeutige Salz.

Den Vorteil, dass ein Salz ist, dass es macht es schwieriger für einen Angreifer zu pre-generieren der MD5-Signatur von jedem Wort aus dem Wörterbuch. Aber wenn ein Angreifer erfährt, dass Sie eine Feste Salz, so konnte Sie dann pre-generieren der MD5-Signatur von jedem Wort aus dem Wörterbuch vorangestellt ist, Ihre Feste Salz.

Ist es besser, jedes mal, wenn ein Benutzer sein Passwort ändert, ist Ihr system generiert einen zufälligen salt und speichern das Salz zusammen mit der Benutzer-Datensatz. Es macht es ein bisschen teurer, um das Passwort zu prüfen (da muss man suchen bis das Salz vor dem generieren der MD5-Signatur), aber es macht es viel schwieriger für einen Angreifer zu pre-MD5 generieren ist.

InformationsquelleAutor der Antwort R Samuel Klatchko

Das ist in Ordnung mit mir. Mr Atwood schrieb über die Stärke der MD5-gegen rainbow-Tabellenund im Grunde mit einem langen, Salz, wie, dass Sie sitzen ziemlich (obwohl einige random Satzzeichen/zahlen, könnte es zu verbessern).

Könnte man auch schauen, SHA-1, die scheint, werden immer beliebter in diesen Tagen.

InformationsquelleAutor der Antwort nickf